CVE-2022-41678

Bir kullanıcı Jolokia üzerinde kimlik doğruladıktan sonra potansiyel olarak rastgele kod çalıştırmayı tetikleyebilir. Detaylı olarak, ActiveMQ yapılandırmalarında jetty, /api/jolokia adresine gelen istekleri işlemek için org.jolokia.http.AgentServlet'e izin verir. org.jolokia.http.HttpRequestHandler#handlePostRequest, JSONObject aracılığıyla JmxRequest oluşturabilir ve org.jolokia.http.HttpRequestHandler#executeRequest çağrılarını yapar. Daha derin çağırma yığınlarında, org.jolokia.handler.ExecHandler#doHandleRequest reflection yoluyla çağrılabilir. Bu durum, çeşitli mbean'ler üzerinden uzaktan kod çalıştırmaya (RCE) yol açabilir. Bir örnek, Java 11 üzerindeki versiyonlarda bulunan jdk.management.jfr.FlightRecorderMXBeanImpl içindeki kısıtlanmamış deserialization işlemidir. 1 newRecording çağrılır. 2 setConfiguration çağrılır ve içerisinde bir webshell verisi gizlenir. 3 startRecording çağrılır. 4 copyTo metodu çağrılır. Webshell bir .jsp dosyasına yazılır. Çözüm, Jolokia üzerinde yetkilendirilen eylemleri kısıtlamak (varsayılan olarak) veya Jolokia'yı devre dışı bırakmaktır. Varsayılan ActiveMQ dağıtımında daha kısıtlayıcı bir Jolokia yapılandırması tanımlanmıştır. Kullanıcıların güncellenmiş Jolokia yapılandırmasını içeren ActiveMQ dağıtım versiyonlarına yükseltmeleri önerilir: 5.16.6, 5.17.4, 5.18.0, 6.0.0.